Signalの通話ライブラリに存在する脆弱性により、ユーザーが通話を切った後も、通話相手がそのユーザーの音声、場合によっては映像を受信し続ける恐れがあります。
この脆弱性は「CVE-2026-113380」として追跡されており、2.72.0より前のバージョンのRingRTCが影響を受けます。RingRTCは、Signalアプリの音声通話とビデオ通話を支えるオープンソースのライブラリで、ブラウザがリアルタイムの音声や映像に利用する技術であるWebRTCをベースに構築されています。
CVEレコードは、「通話のFSM（有限状態機械）キューを飽和させるピアは、ローカル側の切断操作によって通話（音声トラック、場合によっては映像トラックを含む）を終了させる機能を妨害できる」と説明しています。
MITREは2026年10月20日にこのCVEレコードを公開しました。CVSS 4.0のスコアは9.3です。このスコアでは、脆弱なシステムの機密性と完全性への影響が「高」、可用性への影響が「なし」と評価されています。攻撃はネットワーク経由で行われ、攻撃の複雑さは低く、必要な権限もありません。
CISAは、この脆弱性を悪用が確認された脆弱性のカタログ（KEV）に追加していません。米国国立脆弱性データベース（NVD）では、分析待ちの状態になっています。
この問題を文書化したのは、GitHubで「Imahian」の名前でメモを公開している研究者です。同氏の解説では、ローカル側の切断操作は「通話の有限状態機械のイベントキューの末尾に置かれる、単なる1つのイベントにすぎない」と説明されています。
通話相手も同じキューにイベントを追加できます。Imahian氏によると、RingRTCはリモートのピアにこのキューへの書き込みを信頼しており、「ピアが発行するイベントにレート制限はなく、切断操作を優先する経路もない」状態でした。
概念実証（PoC）は、あくまで概念的なものとされています。攻撃者はまず通常のSignal通話を発信し、そのイベントキューに無意味なデータを大量に送り込みます。被害者が切断をタップしても、そのイベントは滞留したキューの後ろに押し込まれます。その結果、「被害者は通話が終了したと思っているのに、通話の音声、場合によっては映像が攻撃者に流れ続ける」とImahian氏は記しています。
解説によれば、この脆弱性は、修正版ライブラリが各クライアントに配布されるまで、旧バージョンのRingRTCを組み込んだ「すべてのSignalクライアント」（Android、iOS、デスクトップ）に及びます。
この問題はRingRTC 2.72.0で修正されました。CVEレコードには、ライブラリのGitHubリポジトリにある該当コミットへのリンクも掲載されています。
現時点で、実際の攻撃での悪用は報告されていません。概念実証以外の攻撃の詳細もほとんど明らかになっていません。Signalのユーザーは、通話に使うすべての端末でアプリを最新の状態に保つようにしてください。
翻訳元: https://www.helpnetsecurity.com/2026/10/22/signal-ringrtc-vulnerability-cve-2026-113380/
